Librenms · Librenms · CVE-2024-32480
**Nome do software vulnerável e versões afetadas**
Versões do LibreNMS anteriores à 24.4.0
**Descrição**
O problema está relacionado a uma vulnerabilidade de injeção de SQL. O parâmetro `order`, obtido de `$request`, é incorporado diretamente em uma instrução SQL após uma verificação de string, resultando na vulnerabilidade. Isso permite que um invasor extraia todo o banco de dados. A vulnerabilidade existe no arquivo `api functions.php`, especificamente na função `list devices`.
**Recomendações**
Para versões anteriores à 24.4.0, atualize para a versão 24.4.0 para corrigir o problema.
Como solução temporária, considere restringir o acesso ao parâmetro `order` no endpoint da API até que um patch esteja disponível.
Evite usar o parâmetro `order` no endpoint da API afetado até que o problema seja resolvido.